Fedora 25へのBro IDSのインストール

• 前書き
• 前提条件
• ステップ1：システムを更新する
• ステップ2：依存関係をインストールする
• ステップ3：Bro IDSをインストールする
• ステップ4：Bro IDSを構成する
• ステップ5：BroCtlを起動する
• ステップ5：インストールをテストする

前書き

Broはオープンソースのネットワークトラフィックアナライザーです。これは主に、疑わしいアクティビティの兆候がないかリンク上のすべてのトラフィックを詳細に検査するセキュリティモニタです。ただし、より一般的には、Broは、パフォーマンス測定やトラブルシューティングの支援など、セキュリティドメインの外でも幅広いトラフィック分析タスクをサポートします。

前提条件

Broをインストールする前に、いくつかの依存関係が整っていることを確認する必要があります。

必要な依存関係

• Libpcap
• OpenSSLライブラリ
• BIND8ライブラリ
• Libz
• Bash（BroControl用）
• Python 2.6以降（BroControl用）

Sendmail必要ですが、強く推奨されていません。

ステップ1：システムを更新する

パッケージをインストールする前に、システムパッケージを更新することをお勧めします。コマンドを実行しますdnf --assumeyes update。これにより、システムパッケージの最新バージョンがダウンロードおよびインストールされます。パッケージマネージャーは、表示されるプロンプトに対して自動的にyesと応答します。しばらく時間がかかる場合があります。

ステップ2：依存関係をインストールする

必要なパッケージをシステムにインストールする必要があります。次のコマンドを実行します。 dnf --assumeyes install libpcap openssl python zlib sendmail

ステップ3：Bro IDSをインストールする

コマンドの実行dnf install --assumeyes bro このコマンドはbro、/binディレクトリにインストールされます。そして、それを設定しましょう。

ステップ4：Bro IDSを構成する

フォルダを作成しますmkdir -p /var/log/broと、mkdir -p /var/spool

node.cfgファイルの構成

Fedora 2xインターフェースの命名が変更されたので、現在のiface名を調べてみましょう：
ls /sys/class/net。：出力は、これと同じでなければなりませんens3 loか、この1： eth0 lo。前者の場合はens3インターフェース名に関心があり、後者の場合は- eth0です。があるとしましょうens3。

次に、ファイルを調べます/etc/bro/node.cfg。コマンドを実行しますless /etc/bro/node.cfg。11行目には、ネットワークインターフェイス仕様があります
interface=eth0。iface名がeth0-である場合は、変更せずにファイルを作成し、次のステップに進みます。それ以外の場合-で変更しens3ます。そのためには、次のコマンドを実行しますsed -i 's/eth0/ens3'。オプション-iは、ファイルをインプレースで変更することを意味します。s最初と2番目のスラッシュで囲まれた値を2番目と3番目のスラッシュで囲まれた値に置き換えます。

broctl.cfgファイルの構成

構成ファイルに変数を追加します。
echo "LibDirInternal = /usr/lib/python2.7/site-packages/BroControl/" >> /etc/bro/broctl.cfg
echo "SpoolDir = /var/spool" >> /etc/bro/broctl.cfg
echo "LogDir = /var/log/bro" >> /etc/bro/broctl.cfg
echo "CfgDir = /etc/bro" >> /etc/bro/broctl.cfg

ステップ5：BroCtlを起動する

これで、構成したノードをデプロイしてロギングを開始できます。

コマンドを実行しますbroctl deploy。次のような出力が表示されます。

cannot get list of local IP addresses
checking configurations ...
installing ...
removing old policies in /var/spool/installed-scripts-do-not-touch/site ...
removing old policies in /var/spool/installed-scripts-do-not-touch/auto ...
creating policy directories ...
installing site policies ...
generating standalone-layout.bro ...
generating local-networks.bro ...
generating broctl-config.bro ...
generating broctl-config.sh ...
updating nodes ...
stopping ...
stopping bro ...
starting ...
starting bro ...

エラーが発生しなかった場合-broがデプロイされています。

ステップ5：インストールをテストする

次に、ログを見てみましょうls -la /var/log/bro。出力は次のようになります。

total 12
drwxr-xr-x 3 root root 4096 Jun 13 10:11 .
drwxr-xr-x 1 root root 4096 Jun 13 10:04 ..
drwxr-xr-x 2 root root 4096 Jun 13 10:11 2017-06-13
lrwxrwxrwx 1 root root   14 Jun 13 10:11 current -> /var/spool/bro

このコマンドを実行してログをテールtail -f /var/log/bro/current/conn.logします。ブラウザからIPをクエリします。
すべてが正しく構成されている場合は、ログメッセージが表示されます。

楽しい！